Если надлежащее уведомление поступило в Роскомнадзор, отсутствие организации в публичном реестре само по себе не означает, что обязанность не исполнена. Закон требует уведомить ведомство до начала обработки, а на внесение первоначальной записи Роскомнадзору отводится до 30 дней с даты поступления уведомления. Если срок прошел либо в карточке остались старые цели, категории данных или адрес, нужно определить источник расхождения и потребовать исправления.
При этом нельзя считать подтверждением подачи только сохраненный черновик формы или скриншот заполненной страницы. Организации нужно иметь доказательство, что уведомление действительно было направлено и поступило в Роскомнадзор.
Нужно ли прекращать обработку, пока организации нет в реестре
По общему правилу нет, если организация до начала обработки надлежащим образом направила предусмотренное законом уведомление.
Статья 22 Закона N 152-ФЗ устанавливает обязанность уведомить Роскомнадзор до начала обработки персональных данных, за исключением нескольких специальных случаев. При этом закон не устанавливает правило, по которому обработку разрешено начинать только после появления публичной карточки в реестре.
Это важное отличие от разрешительных реестров и лицензий. Здесь юридически значимым действием оператора является уведомление компетентного органа, а внесение записи выполняет уже Роскомнадзор.
Поэтому ситуация выглядит так: компания 1 июня направила корректное уведомление до фактического начала обработки, а 10 июня ее еще нет в реестре. Само по себе это не доказывает нарушение компании, поскольку срок внесения первоначальной записи еще продолжается.
Если же организация сначала несколько месяцев собирала данные клиентов и работников, а уведомление отправила только после обнаружения отсутствия в реестре, поздней подачей прошлое нарушение не устраняется.
Подробно случаи, когда уведомление вообще необходимо, разобраны в материале кто обязан уведомлять Роскомнадзор об обработке персональных данных.
Сколько Роскомнадзор может вносить организацию в реестр
На внесение сведений по первоначальному уведомлению закон дает Роскомнадзору 30 дней с даты его поступления.
Поэтому считать срок нужно не от даты, указанной внутри документа, и не от дня, когда сотрудник начал заполнять электронную форму. Значение имеет подтвержденная дата поступления уведомления в ведомство.
Если 30 дней еще не закончились, отсутствие публичной записи не обязательно свидетельствует о сбое.
Если срок уже прошел, проверьте, не поступало ли требование Роскомнадзора уточнить информацию. При неполных или недостоверных сведениях ведомство вправе потребовать уточнения до внесения оператора в реестр.
Особенно внимательно нужно проверить цели обработки, категории персональных данных, категории субъектов, правовые основания, способы обработки, сведения об ответственном лице и месте нахождения баз.
Как доказать, что уведомление Роскомнадзору было подано
Для спора важен не скриншот пустого реестра, а след отправленного документа.
Сохраните экземпляр самого уведомления в той редакции, которая была направлена. Он понадобится, чтобы позднее сравнить исходные сведения с публичной карточкой и доказать, что ошибка возникла не у оператора.
Если уведомление направлялось электронно, сохраните подтверждение отправки, дату и время операции, идентификатор или номер обращения, электронную квитанцию и статус документа. Если использовалась электронная подпись, сохраните подписанный файл и сведения о подписи.
При почтовой отправке пригодятся копия уведомления, почтовая квитанция, опись вложения и сведения о вручении. При личной подаче - экземпляр с отметкой о принятии и входящим номером.
Сам по себе документ, лежащий на компьютере организации, не доказывает, что Роскомнадзор его получил.
Организации также полезно хранить документы, показывающие, какие процессы обработки реально существовали на дату подачи. Например, приказ о назначении ответственного за обработку персональных данных поможет подтвердить сведения об ответственном лице.
Что делать, если 30 дней прошли, а записи нет
Сначала не отправляйте автоматически еще одно первоначальное уведомление.
Две параллельные подачи с различающимися формулировками способны только осложнить ситуацию. Сначала выясните судьбу первого документа.
Проверьте его статус и возможные сообщения Роскомнадзора. Затем направьте обращение в территориальное управление по месту регистрации оператора с указанием даты подачи, способа направления, входящего или электронного номера и ИНН организации.
Попросите подтвердить регистрацию уведомления и сообщить причину отсутствия сведений в реестре. Если уведомление принято и недостатков в нем нет, потребуйте обеспечить внесение записи.
Для такого обращения подойдет заявление в Роскомнадзор, но его необходимо переработать под реестровую проблему.
Если ведомство уже получило корректный документ, установленный срок прошел, а запись не появляется, предметом следующего обращения становится именно бездействие Роскомнадзора.
Важно! Этот документ можно скачать в КонсультантПлюс
Скачать в КонсультантПлюсБесплатный доступ к документуГотового профильного бланка для исправления реестра операторов персональных данных на BazaNPA пока нет. Поэтому в этом образце нужно указать соответствующее территориальное управление Роскомнадзора, реквизиты первоначального уведомления, дату его поступления, содержание неправильной или отсутствующей записи и конкретное требование внести либо исправить сведения.
Что делать, если организация в реестре есть, но данные устарели
Здесь сначала нужно установить, изменилась деятельность самой компании или ошибся реестр.
Например, при первоначальной подаче организация действительно находилась по одному адресу, а затем переехала. Либо раньше использовала персональные данные только для кадрового учета, а потом открыла интернет-магазин и начала собирать данные покупателей.
В такой ситуации реестр не ошибся. Изменились обстоятельства, о которых обязан сообщить сам оператор.
Часть 7 статьи 22 Закона N 152-ФЗ требует сообщить обо всех изменениях ранее заявленных сведений не позднее 15-го числа месяца, следующего за месяцем, когда произошли изменения.
Для этого используется не новое первоначальное уведомление, а специальное уведомление об изменении сведений по форме, утвержденной приказом Роскомнадзора N 180.
Как исправить цели и категории персональных данных
Цели нельзя переписывать формально только ради красивой карточки реестра.
Перед подачей изменений сопоставьте уведомление с фактическими процессами организации. Кадровый учет, подбор персонала, исполнение договоров с клиентами, доставка, бухгалтерский учет, работа сайта и рекламные рассылки могут требовать разных целей.
Для каждой цели отдельно указываются категории персональных данных, категории субъектов, правовые основания, действия с данными и способы обработки.
Одновременно проверьте локальные документы компании. Статья 18.1 Закона N 152-ФЗ требует определить правила обработки персональных данных внутри организации, поэтому запись Роскомнадзора и внутренние документы не должны описывать разные процессы.
При серьезном изменении работы можно одновременно актуализировать приказ об утверждении положения о работе с персональными данными.
Если компания собирает данные через сайт, полезно дополнительно проверить материал о том, какой должна быть политика обработки персональных данных.
Как исправить неправильный адрес
Слово «адрес» в документах о персональных данных может обозначать разные вещи.
Есть адрес самого оператора. Отдельно указывается место нахождения базы данных, содержащей персональные данные граждан России. Эти сведения нельзя смешивать.
Если изменился юридический адрес компании и он относится к сведениям первоначального уведомления, Роскомнадзор необходимо уведомить об изменении в установленный срок.
Если юридический адрес остался прежним, но компания перенесла информационную систему, сервер или базу, проверьте именно сведения о месте нахождения базы данных.
Для компаний с CRM, облачной бухгалтерией, хостингом и другими подрядчиками полезно провести инвентаризацию информационных систем. Внутренний порядок можно закрепить приказом об организации работы с клиентской базой.
Что если первоначальное уведомление было правильным, а Роскомнадзор разместил другое
Это принципиально другая ситуация.
Если оператор указал правильный адрес, категории и цели, но в публичной карточке Роскомнадзора появилось иное содержание, не следует оформлять фиктивное «изменение», которого на самом деле не происходило.
Форма уведомления об изменении предполагает, что ранее заявленные сведения действительно изменились. Если изменения не было, разумнее потребовать исправления ошибочно перенесенной информации.
В обращении приложите первоначальное уведомление и доказательство его получения ведомством. Затем рядом приведите содержание реестровой записи и выделите каждое расхождение.
Это позволяет установить простой факт: организация сообщила одни сведения, а государственный реестр содержит другие.
Можно ли оставить старые цели, если обработка уже изменилась
Не стоит. Публичная запись должна соответствовать актуальной обработке. Если компания начала собирать новые категории данных, работать с новой группой субъектов либо использовать сведения в новых целях, изменения необходимо своевременно сообщить.
Но есть еще один важный момент. Обновление реестра само по себе не делает новую обработку законной.
Нужно отдельно проверить правовое основание обработки, принцип соответствия цели и объема данных, необходимые согласия и внутренние документы. Подробно разница между законным основанием и согласием разобрана в статье когда нужно согласие на обработку персональных данных.
Если новые процессы связаны с иностранными сервисами, обычного обновления карточки может быть недостаточно. Для трансграничной передачи действует отдельная процедура, разобранная в материале когда уведомлять Роскомнадзор о трансграничной передаче персональных данных.
Какой штраф грозит, если организация вообще не уведомила Роскомнадзор
Сейчас это отдельное административное правонарушение.
Часть 10 статьи 13.11 КоАП РФ предусматривает за невыполнение или несвоевременное выполнение обязанности уведомить о намерении осуществлять обработку штраф для юридического лица от 100 000 до 300 000 рублей.
Поэтому доказательства первоначальной подачи приобрели гораздо большее значение.
Если организация уведомление своевременно направила, а Роскомнадзор по своей причине не сформировал публичную запись, эти документы позволяют отделить отсутствие записи от неисполнения обязанности самим оператором.
Для несообщения последующих изменений ситуация иная. Специальная часть 10 статьи 13.11 КоАП сформулирована применительно к уведомлению о намерении начать обработку. За непредставление предусмотренных законом сведений об изменениях возможно применение общей статьи 19.7 КоАП РФ.
Что делать, если Роскомнадзор считает, что уведомления не было
Не подменяйте доказательство новым уведомлением.
Сначала направьте копию первоначального документа и подтверждение его передачи. Потребуйте проверить регистрацию по дате, ИНН, отправителю, входящему номеру или идентификатору электронной операции.
Если уведомление подавал конкретный сотрудник, сохраните документы о его полномочиях на дату подачи.
Полезно также провести внутреннюю проверку остальных требований законодательства. Например, наличие записи в реестре не освобождает организацию от обязанностей по обеспечению безопасности данных. Если уже произошел инцидент, используется отдельный алгоритм, описанный в статье что делать компании при утечке персональных данных.
Можно ли оспорить бездействие Роскомнадзора в суде
Если организация представила корректное уведомление, установленный законом срок прошел, а Роскомнадзор не вносит сведения и не устраняет ошибку после обращения, бездействие можно оспаривать.
Для коммерческой организации такой спор, если нарушение затрагивает ее предпринимательскую деятельность, рассматривается по правилам главы 24 АПК РФ.
Срок обращения в арбитражный суд по общему правилу составляет три месяца со дня, когда организации стало известно о нарушении ее прав. Поэтому бесконечная переписка с территориальным управлением способна создать отдельный процессуальный риск.
Госпошлина за заявление организации о признании незаконными решения, действия или бездействия государственного органа составляет 50 000 рублей.
До судебной стадии обычно разумно добиться письменного ответа Роскомнадзора. Он покажет, спорит ли ведомство с самим фактом поступления документа, считает ли уведомление неполным либо признает техническую проблему реестра.
Практический алгоритм исправления записи
- Выгрузите или сохраните текущую карточку организации из реестра.
- Найдите точную копию первоначального уведомления и подтверждение его поступления.
- Сравните каждое поле уведомления с публичной записью.
- Если сведения действительно изменились, подайте уведомление об изменении по действующей форме.
- Если исходное уведомление правильное, а реестр показывает другое, направьте требование исправить техническое расхождение.
- Если первоначальной записи нет более 30 дней, запросите причину невнесения и регистрационные сведения документа.
- Сохраните всю переписку, квитанции, электронные статусы и ответы ведомства.
После исправления реестра еще раз сопоставьте его с реальной обработкой и локальными актами компании. Несоответствие часто означает, что устарел не только реестр, но и внутренние документы.
Если при такой проверке выяснилось использование новых информационных технологий, отдельно оцените соответствующие риски. Например, правила обработки при использовании внешних AI-сервисов разобраны в статье о передаче персональных данных работников и клиентов в нейросети.
Главное - различать три ситуации. Если Роскомнадзор еще укладывается в 30-дневный срок, отсутствие записи само по себе не говорит о нарушении. Если деятельность компании действительно изменилась, необходимо своевременно подать уведомление об изменении. Если же компания направила правильные данные, а государственный реестр их потерял или исказил, нужно требовать исправления записи и сохранять доказательства первоначальной подачи.
FAQ: организация отсутствует в реестре операторов Роскомнадзора или сведения устарели
Уведомление подали неделю назад, но организации еще нет в реестре. Нужно ли подавать повторно?
Обычно нет. Закон дает Роскомнадзору до 30 дней с даты поступления первоначального уведомления. Сначала убедитесь, что документ действительно поступил и зарегистрирован.
Можно ли обрабатывать персональные данные, пока Роскомнадзор не внес компанию в реестр?
Если корректное уведомление направлено до начала обработки и конкретная обработка не нарушает иных требований закона, Закон N 152-ФЗ не требует ждать публикации реестровой записи. Реестр не является лицензией на обработку персональных данных.
В реестре указана старая цель обработки. Как ее заменить?
Если цель действительно изменилась, необходимо подать уведомление об изменении сведений. Сделать это нужно не позднее 15-го числа месяца, следующего за месяцем изменения.
Первоначальное уведомление содержит правильный адрес, но в реестре другой. Нужно ли подавать уведомление об изменении?
Если адрес фактически не менялся, лучше не указывать вымышленную дату изменения. Направьте Роскомнадзору обращение об исправлении ошибочной записи и приложите первоначальное уведомление.
Как доказать при проверке, что уведомление было подано вовремя?
Представьте копию направленного уведомления вместе с доказательством его отправки и поступления: электронной квитанцией или статусом, регистрационным номером, почтовой описью и подтверждением вручения либо отметкой о принятии.